Privacyverklaring

Definities

In deze privacyverklaring worden de volgende begrippen gehanteerd, in lijn met de Algemene Voorwaarden Qapnova B.V.:

Actief account: een account op het Platform dat niet is gedeactiveerd en waarmee de Platformgebruiker kan inloggen en gebruik kan maken van de functionaliteiten van het Platform.

AVG: de Algemene Verordening Gegevensbescherming (Verordening (EU) 2016/679).

Betrokkene: de natuurlijke persoon op wie de verwerkte persoonsgegevens betrekking hebben.

Directe Familie: een familie of personal holding die rechtstreeks een overeenkomst met Qapnova heeft gesloten en het Platform gebruikt voor het vastleggen en inzien van het eigen vermogen, documenten en familiestructuren.

Familiegegevens: persoonsgegevens van familieleden die op het Platform worden geregistreerd, waaronder namen, geboortedata, familierelaties en rollen binnen de familiestructuur.

Opdrachtgever: de wederpartij van Qapnova, zijnde een Directe Familie, family office, adviseur of organisatie die gebruik maakt van het Platform.

Persoonsgegevens: alle gegevens die direct of indirect herleidbaar zijn tot een natuurlijk persoon.

Platform: het Qapnova-platform (de Software) inclusief modules voor documentbeheer, vermogensoverzicht, data-consolidatie, rapportage en inzichten.

Platformgebruiker: iedere natuurlijke persoon die toegang heeft tot het Platform, ongeacht of deze toegang rechtstreeks (als Directe Familie) of via een family office, adviseur of organisatie is verkregen.

Qapnova: Qapnova B.V., gevestigd te Bussum, ingeschreven in het handelsregister onder nummer 98372254.

Subverwerker: een door Qapnova ingeschakelde derde die persoonsgegevens verwerkt ten behoeve van de dienstverlening.

Verwerker: de partij die persoonsgegevens verwerkt in opdracht van de verwerkingsverantwoordelijke. Qapnova treedt op als verwerker.

Verwerkersovereenkomst: de tussen Qapnova en Opdrachtgever gesloten overeenkomst als bedoeld in artikel 28 lid 3 AVG.

Verwerkingsverantwoordelijke: de partij die het doel en de middelen van de verwerking van persoonsgegevens vaststelt. De Opdrachtgever treedt op als verwerkingsverantwoordelijke.

1. Wie zijn wij?

Qapnova B.V. is een softwarebedrijf dat een digitaal platform aanbiedt voor inzicht in vermogenssamenstelling. Via ons platform kunnen families, vermogensbeheerders en andere adviseurs portefeuilles, documenten en vermogensstructuren vastleggen en inzien.

Bedrijfsnaam: Qapnova B.V.
Adres: Heuvellaan 18, 1406 KV Bussum, Nederland
E-mail: [email protected]
KvK-nummer: 98372254

Qapnova is niet verplicht een Functionaris Gegevensbescherming (FG/DPO) aan te stellen op grond van artikel 37 AVG. Voor privacyvragen kunt u terecht bij onze Privacy Lead via [email protected].

2. Op wie is deze verklaring van toepassing?

Qapnova bedient twee typen Opdrachtgevers:

1. Directe Families: u maakt rechtstreeks gebruik van ons Platform voor het vastleggen en inzien van uw vermogen, documenten en familiestructuren. U bent verwerkingsverantwoordelijke voor uw gegevens op het Platform.
2. Platformgebruikers via een family office, adviseur of organisatie: u maakt gebruik van ons Platform via een family office, wealth manager, adviseur of organisatie die een overeenkomst heeft met Qapnova. Uw adviseur of organisatie is verwerkingsverantwoordelijke.

Qapnova treedt in beide gevallen op als verwerker in de zin van de AVG. Met iedere Opdrachtgever wordt een verwerkersovereenkomst gesloten als bedoeld in artikel 28 lid 3 AVG.

Deze privacyverklaring is van toepassing op alle Platformgebruikers. Sectie 3 beschrijft alle verwerkingen op het Platform. In de kolom “Van toepassing op” leest u of een verwerking geldt voor Directe Families, voor alle Platformgebruikers, of voor beide.

Bij tegenstrijdigheid tussen deze privacyverklaring en de verwerkersovereenkomst prevaleert de verwerkersovereenkomst. Dit is in lijn met de rangorderegeling in artikel 20.2 van de Algemene Voorwaarden.

3. Welke persoonsgegevens verwerken wij?

Samengevat verwerken wij alleen gegevens die noodzakelijk zijn voor het leveren van ons platform, het beveiligen van uw account en het bieden van ondersteuning. Wij verzamelen geen gegevens voor advertentiedoeleinden of profiling. Hieronder vindt u per categorie welke gegevens wij verwerken, waarvoor, en op welke grondslag.

3.1 Relatiebeheer en sales

Wanneer u contact met ons opneemt, een demo aanvraagt, of wanneer wij u benaderen:

Van toepassing op: Prospects, zakelijke contacten en cliëntvertegenwoordigers
Grondslag: Gerechtvaardigd belang (art. 6 lid 1 sub f AVG)
Bewaartermijn: Duur van de relatie + 3 jaar; bij opt-out: verwijdering binnen 30 dagen

3.2 Accountgegevens

Wanneer u een account aanmaakt of wordt uitgenodigd voor het platform:

Van toepassing op: Alle gebruikers
Grondslag: Uitvoering van de overeenkomst (art. 6 lid 1 sub b AVG)
Bewaartermijn: Duur van actief account + 90 dagen na deactivatie

3.3 Uitnodigingsgegevens

Wanneer u wordt uitgenodigd voor het platform:

Van toepassing op: Alle gebruikers
Grondslag: Uitvoering van de overeenkomst (art. 6 lid 1 sub b AVG)
Bewaartermijn: 7 dagen na verlopen van de uitnodiging

3.4 Familiegegevens

Wanneer u of uw adviseur familieleden registreert op het platform:

Van toepassing op: Directe Families en Platformgebruikers via een adviseur. Bij gebruik via een adviseur dient de Betrokkene eigen afspraken over privacy en gegevensverwerking overeen te komen met de betreffende adviseur.
Grondslag: Uitvoering van de overeenkomst (art. 6 lid 1 sub b AVG)
Bewaartermijn: Duur van de overeenkomst + 90 dagen

3.5 Documenten, mailbox en AI-verwerking

Wanneer u documenten uploadt naar het platform of wanneer documenten automatisch worden ontvangen via uw toegewezen mailbox:

Van toepassing op: Directe Families en Platformgebruikers via een adviseur
Grondslag: Uitvoering van de overeenkomst (art. 6 lid 1 sub b AVG)
Bewaartermijn: Duur van de overeenkomst + 90 dagen; bij verwijdering: 30 dagen hersteltermijn, daarna definitief verwijderd

Elke klantomgeving beschikt over een eigen e-mailadres (mailbox) waarnaar documenten kunnen worden gestuurd voor automatische verwerking middels het Qapnova platform. Documenten die via deze mailbox binnenkomen, worden op dezelfde wijze verwerkt als handmatig geüploade documenten.

Documenten worden verwerkt door Azure AI Document Intelligence (OCR) en Azure OpenAI (classificatie). Alle verwerking vindt plaats binnen de Europese Unie via Microsoft Azure. Uw gegevens worden niet gedeeld met OpenAI Inc. en worden niet gebruikt voor het trainen van AI-modellen, dit is contractueel vastgelegd met Microsoft.

3.6 Bankkoppelingen

Wanneer u een bankkoppeling activeert:

Van toepassing op: Directe Families en Platformgebruikers via een adviseur
Grondslag: Uitvoering van de overeenkomst (art. 6 lid 1 sub b AVG)
Bewaartermijn: Duur van de overeenkomst + 90 dagen

Bankkoppelingen worden rechtstreeks met de bank opgezet. Qapnova ontvangt alleen-lezen toegang tot rekeninggegevens; wij kunnen geen transacties initiëren en hebben ook anderszins geen mogelijkheden te interveniëren bij transacties via de betreffende bankkoppeling of bankrekening.

3.7 Portefeuille- en vermogensgegevens

Wanneer u of uw adviseur vermogensgegevens invoert:

Van toepassing op: Directe Families en Platformgebruikers via een adviseur
Grondslag: Uitvoering van de overeenkomst (art. 6 lid 1 sub b AVG)
Bewaartermijn: Duur van de overeenkomst + 90 dagen

3.8 AI-chat

Wanneer u de AI-chatfunctie gebruikt:

Van toepassing op: Directe Families en Platformgebruikers via een adviseur
Grondslag: Uitvoering van de overeenkomst (art. 6 lid 1 sub b AVG)
Bewaartermijn: Duur van actief account + 90 dagen na deactivatie

Voordat documentinhoud naar Azure OpenAI wordt verzonden, worden gevoelige gegevens zoals IBAN-nummers, burgerservicenummers en creditcardnummers automatisch geredacteerd. Chatgesprekken worden verwerkt door Azure OpenAI. Alle verwerking vindt plaats binnen de Europese Unie via Microsoft Azure. Uw gegevens worden niet gedeeld met OpenAI Inc. en worden niet gebruikt voor het trainen van AI-modellen.

3.9 Beveiligingsgegevens

Voor de beveiliging van het platform:

Van toepassing op: Alle gebruikers
Grondslag: Gerechtvaardigd belang (art. 6 lid 1 sub f AVG) – beveiliging van het platform en bescherming van gebruikersgegevens
Bewaartermijn: 90 dagen (beveiligingsincidenten: 7 jaar)

3.10 Auditloggegevens

Alle wijzigingen op het platform worden gelogd:

Van toepassing op: Alle gebruikers
Grondslag: Gerechtvaardigd belang (art. 6 lid 1 sub f AVG); voor directe families tevens uitvoering van de overeenkomst (art. 6 lid 1 sub b AVG)
Bewaartermijn: Duur van de overeenkomst + 90 dagen (beveiligingsaudit: 7 jaar)

3.11 Feedback

Wanneer u vrijwillig feedback geeft via het platform:

Van toepassing op: Alle gebruikers
Grondslag: Toestemming (art. 6 lid 1 sub a AVG) – u kunt uw toestemming op elk moment intrekken
Bewaartermijn: 24 maanden

3.12 Klantenservicegegevens

Wanneer u contact opneemt voor ondersteuning:

Van toepassing op: Alle gebruikers
Grondslag: Uitvoering van de overeenkomst (art. 6 lid 1 sub b AVG)
Bewaartermijn: Duur van het verzoek + 2 jaar

3.13 AI-telemetrie

Voor het monitoren van onze AI-functionaliteiten:

Van toepassing op: Alle gebruikers
Grondslag: Gerechtvaardigd belang (art. 6 lid 1 sub f AVG) – betrouwbare dienstverlening en naleving van de AI-verordening
Bewaartermijn: 12 maanden

Wij loggen geen gespreksinhoud of documentinhoud voor telemetriedoeleinden. Deze gegevens worden niet gebruikt voor profiling van gebruikers.

4. Back-ups

Wij maken back-ups van alle systemen voor bedrijfscontinuiteit en herstel na storingen.

Grondslag: Uitvoering van de overeenkomst (art. 6 lid 1 sub b AVG) en gerechtvaardigd belang (art. 6 lid 1 sub f AVG)
Bewaartermijn: 30 dagen (point-in-time recovery), geo-redundant opgeslagen binnen de EU
Beveiliging: Versleuteld met klantspecifieke sleutels (Customer-Managed Keys)

5. Met wie delen wij uw gegevens?

5.1 Subverwerkers

Wij maken gebruik van de volgende subverwerkers, allen onderdeel van Microsoft Azure en gevestigd binnen de EU:

Met alle subverwerkers is een verwerkersovereenkomst gesloten (Microsoft Online Services DPA). Een actuele lijst van subverwerkers is op verzoek beschikbaar via [email protected].

De inschakeling van subverwerkers geschiedt in overeenstemming met de toepasselijke verwerkersovereenkomst.

5.2 Overige dienstverleners

Voor interne bedrijfsvoering, communicatie en relatiebeheer maken wij gebruik van een beperkt aantal aanvullende dienstverleners. Een deel hiervan is gevestigd buiten de EU (Verenigde Staten). Voor alle doorgifte buiten de EU zijn Standard Contractual Clauses (modelcontractbepalingen) afgesloten.

Deze dienstverleners (c.q. tools) verwerken geen cliëntgegevens van het platform. Het gaat uitsluitend om gegevens van medewerkers, zakelijke contacten en prospects. Toegang is beperkt tot geautoriseerd personeel. Een actuele lijst van alle dienstverleners is op verzoek beschikbaar via [email protected].

5.3 Doorgifte buiten de EU

Alle platformgegevens worden uitsluitend verwerkt en opgeslagen binnen de EU (primair: West-Europa, Nederland; back-ups: Noord-Europa, Ierland).

Een aantal interne tools voor bedrijfsvoering, communicatie en relatiebeheer zijn gevestigd in de VS. Voor alle doorgifte buiten de EU zijn Standard Contractual Clauses (modelcontractbepalingen) afgesloten.

Incidentele toegang tot het platform door gebruikers die zich tijdelijk buiten de EER bevinden, wordt niet aangemerkt als doorgifte van persoonsgegevens door Qapnova.

5.4 Overige ontvangers

Wij delen uw gegevens niet met andere partijen, tenzij:

• wij daartoe wettelijk verplicht zijn (bijvoorbeeld op grond van een gerechtelijk bevel);
• dit, naar ons redelijk oordeel, noodzakelijk is voor de uitvoering van onze overeenkomst met u; of
• u hiervoor uitdrukkelijke toestemming heeft gegeven.

6. Hoe beveiligen wij uw gegevens?

Wij nemen passende technische en organisatorische maatregelen om uw gegevens te beschermen:

• Versleuteling in transit: TLS 1.2 of hoger
• Versleuteling in rust: AES-256 met klantspecifieke sleutels (Customer-Managed Keys), automatische rotatie elke 90 dagen
• Toegangscontrole: JWT-authenticatie, rolgebaseerde toegang (RBAC), Row-Level Security (RLS) op databaseniveau
• Tenantisolatie: Afzonderlijke database en opslag per klantomgeving
• Familieisolatie: Gegevens binnen een omgeving zijn per familie gescheiden via Row-Level Security (RLS) op databaseniveau
• Sleutelbeheer: Azure Key Vault met HSM-beveiliging
• Geen wachtwoorden in code: Alle verbindingen verlopen via Managed Identity
• Auditlogging: Alle gegevenswijzigingen worden gelogd met actor en tijdstip
• Incidentrespons: Vastgelegd incidentresponsplan met meldplicht binnen 72 uur

7. Hoe lang bewaren wij uw gegevens?

Na afloop van de bewaartermijn worden gegevens definitief verwijderd.

8. Uw rechten

Op grond van de AVG heeft u de volgende rechten:

Hoe dient u een verzoek in? Stuur een e-mail naar [email protected]. Wij bevestigen uw verzoek binnen 3 werkdagen en reageren uiterlijk binnen 30 dagen. Bij complexe verzoeken kan deze termijn met maximaal 60 dagen worden verlengd – wij informeren u hierover.

Ter bescherming van uw gegevens kunnen wij u vragen uw identiteit te verifiëren.

Maakt u gebruik van het Platform via een adviseur of organisatie? Dan raden wij u aan uw verzoek bij uw adviseur in te dienen, aangezien de Opdrachtgever verwerkingsverantwoordelijke is. Wij ondersteunen de Opdrachtgever bij de afhandeling.

Intrekken van toestemming: Wanneer wij gegevens verwerken op basis van uw toestemming (zoals feedback), kunt u deze toestemming op elk moment intrekken via [email protected]. Intrekking heeft geen invloed op de rechtmatigheid van de verwerking vóór de intrekking. Het intrekken van toestemming kan leiden tot de onmogelijkheid voor Qapnova om haar verplichtingen uit hoofde van de Overeenkomst na te komen. Partijen zullen in dat geval met elkaar in overleg treden.

9. (Geen) geautomatiseerde besluitvorming

Qapnova maakt gebruik van AI-technologie voor documentclassificatie, tekstextractie en een chatfunctie. Deze AI-functies ondersteunen de gebruiker maar nemen geen geautomatiseerde besluiten met rechtsgevolgen in de zin van artikel 22 AVG. Alle AI-uitkomsten worden gepresenteerd ter ondersteuning en zijn altijd onderworpen aan menselijke beoordeling.

10. Cookies

Ons platform maakt gebruik van de volgende cookies:

De analytische cookies worden uitsluitend gebruikt voor operationele doeleinden (zoals het detecteren van fouten en het monitoren van laadtijden). Wij gebruiken geen marketing- of advertentiecookies. Uw gegevens worden niet gedeeld met derden voor advertentiedoeleinden.

11. Klachten

Bent u het niet eens met de wijze waarop wij uw gegevens verwerken? Neem dan eerst contact met ons op via [email protected]. Wij doen ons best uw klacht op te lossen.

U heeft ook het recht een klacht in te dienen bij de toezichthouder:

Autoriteit Persoonsgegevens
Postbus 93374, 2509 AJ Den Haag
www.autoriteitpersoonsgegevens.nl

12. Wijzigingen

Wij kunnen deze privacyverklaring van tijd tot tijd bijwerken. Wijzigingen publiceren wij op deze pagina. Bij ingrijpende wijzigingen informeren wij u via e-mail of een melding in het platform, conform artikel 17.3 van de Algemene Voorwaarden.

Deze privacyverklaring is voor het laatst bijgewerkt in maart 2026.

13. Samenhang met overige documenten

Deze privacyverklaring maakt onderdeel uit van het contractuele kader van Qapnova. De samenhang met overige documenten is als volgt:

Algemene Voorwaarden: Artikel 17 van de Algemene Voorwaarden beschrijft de privacy-verhouding en de rol van Qapnova als verwerker.

Samenwerkingsovereenkomst (Familie): Artikel 13 bevestigt dat de Familie verwerkingsverantwoordelijke is en Qapnova verwerker. De verwerkersovereenkomst prevaleert ten aanzien van persoonsgegevens.

Samenwerkingsovereenkomst (Family Office): Artikel 12 bevestigt dat het Family Office verwerkingsverantwoordelijke is en Qapnova verwerker. De verwerkersovereenkomst prevaleert ten aanzien van persoonsgegevens.

Verwerkersovereenkomst: Wordt gesloten met iedere Opdrachtgever. Bij tegenstrijdigheid prevaleert de verwerkersovereenkomst boven deze privacyverklaring.

De rangorderegeling in artikel 20.2 van de Algemene Voorwaarden bepaalt de onderlinge verhouding tussen alle documenten. De rangorde kan geen betrekking hebben op contracten met derden.